--- title: "DPIA | Pitch" description: "Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal." url: https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment --- [pitch](https://www.pitch.law/nl) [Technologie](https://www.pitch.law/nl/technologies) # DPIA Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal. - Door Door Bart Lieben, Advocaat ## Wat het doet Een gegevensbeschermingseffectbeoordeling (DPIA) is volgens artikel 35 AVG verplicht als een verwerking waarschijnlijk een hoog risico inhoudt voor mensen. Denk aan systematische en uitgebreide profilering met aanzienlijke gevolgen, grootschalige verwerking van bijzondere categorieën van gegevens en grootschalige systematische monitoring van openbaar toegankelijke ruimten. De Gegevensbeschermingsautoriteit (GBA) heeft ook een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is. Onze DPIA-aanpak maakt van de beoordeling een werkdossier. Je loopt stap voor stap door wat artikel 35, lid 7 voorschrijft, jouw team en de advocaat werken op dezelfde plek, en we bewaren wat er beslist werd en waarom. Of een risico aanvaardbaar is, beslissen wij niet voor jou. Dat oordeel is aan de advocaat en aan de verwerkingsverantwoordelijke. ## Functies ### Screening: is een DPIA nodig? Een korte vragenlijst legt vast waar het om gaat: welke gegevens, hoe groot de schaal, en of er profilering, kwetsbare personen, nieuwe technologie, monitoring of het koppelen van datasets bij komt kijken. Je krijgt een aanbeveling met de criteria die haar uitlokten, en de advocaat bevestigt ze. Is er geen DPIA nodig, dan bewaren we de redenering, want ook die keuze hoort gedocumenteerd te zijn. ### Beschrijving van de verwerking Doeleinden, gegevenscategorieën, betrokkenen, ontvangers, systemen, bewaring en doorgiften beschrijf je in vaste velden. Staat de verwerking al in je [verwerkingsregister](https://www.pitch.law/nl/technologies/privacy-register), dan vertrekt de beschrijving vanuit die vermelding. Zo schrijf je niets twee keer op. ### Noodzaak en evenredigheid Hier gaat het om je rechtsgrond, om de vraag of je hetzelfde doel met minder gegevens kunt bereiken, om hoe betrokkenen worden geïnformeerd en hun rechten kunnen uitoefenen, en om de rol van verwerkers. Je antwoordt in vrije tekst, met uitleg over wat de wet verwacht. ### Risicobeoordeling en maatregelen We sommen de risico's voor mensen op, elk met waarschijnlijkheid, ernst en de maatregelen die ze verkleinen, en dan het restrisico. Het draait om schade voor mensen (discriminatie, verlies van controle, financieel verlies, blootstelling van gevoelige gegevens), niet om risico voor je bedrijf. ### Samenwerken met de advocaat Jij en de advocaat vullen de beoordeling samen in via het klantenportaal. Het advies van de DPO, dat je volgens artikel 35, lid 2 moet inwinnen, komt in het dossier, samen met of je het hebt gevolgd en zo niet, waarom. ### Besluit en opvolging Het dossier eindigt met een conclusie: doorgaan, doorgaan met bepaalde maatregelen, of vooraf de toezichthouder raadplegen op grond van artikel 36 omdat er een hoog restrisico overblijft. We leggen herzieningsdata vast, want een DPIA moet je opnieuw bekijken als de verwerking verandert. ## Wat je mag verwachten - Een afgeronde DPIA als gedateerd, exporteerbaar dossier, goedgekeurd door een advocaat. - Een lijst van maatregelen met verantwoordelijken, waar je projectteam meteen mee aan de slag kan. - Een vastgelegde beslissing over voorafgaande raadpleging van de toezichthouder, als dat speelt. - Een koppeling tussen de DPIA en de vermelding in het register waar ze over gaat. Zit er een AI-systeem in het spel, dan is de DPIA een nuttige basis voor de beoordeling van de gevolgen voor de grondrechten onder de AI-verordening. In [AI-verordening en AVG](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) lees je hoe die twee overlappen, en [wervingstools](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) zijn een klassiek voorbeeld. ### Voorbeeld van begin tot eind Een Gentse start-up in HR-software wil een module bouwen die sollicitaties scoort. Voor de ontwikkeling begint, vult de productverantwoordelijke de screening in het portaal in: profilering, aanzienlijk effect op mensen, innovatieve technologie. De tool raadt een volledige DPIA aan en de advocaat bevestigt. Product en advocaat vullen samen in twee sessies de beschrijving, de noodzaak en de risico's in. De risicolijst bevat discriminatie en ondoorzichtigheid. De maatregelen: menselijke controle op elke afwijzing, uitleg aan kandidaten en kortere bewaring. Het advies van de DPO wordt vastgelegd, het restrisico is aanvaardbaar en de DPIA wordt goedgekeurd met een herzieningsdatum bij de volgende grote release. Omdat de module ook een AI-systeem is, gaat het dossier mee naar de beoordeling onder de AI-verordening. Dat afgeronde dossier toon je ook aan een klant of aan de toezichthouder als ze vragen hoe je een risicovol project hebt beoordeeld. En het is je vertrekpunt als dezelfde verwerking later verandert. ## Waar we het inzetten DPIA's horen vast bij onze [DPO as a Service](https://www.pitch.law/nl/solutions/dpo-as-a-service), meestal voor nieuwe software, monitoring van werknemers, grootschalige klantenanalyse en tools die mensen profileren. Ze helpen ook bij [naleving van de AI-verordening](https://www.pitch.law/nl/solutions/ai-act-compliance). Vaak beginnen we met een [technologie-audit van je website](https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr) die meer tracking blootlegt dan iemand verwachtte. Het DPIA-document zelf zit in [onze Document Studio](https://www.pitch.law/nl/technologies/contract-studio), die het bijwerkt zodra de verwerking verandert. ## In het kort - Stap voor stap volgens artikel 35 AVG - Klant en advocaat werken in hetzelfde dossier - Risico's, maatregelen en restrisico gedocumenteerd - Vroeg gestart, nog voor je iets bouwt - Goedgekeurd door een advocaat ## Hier helpen we mee - [Oplossingen](https://www.pitch.law/nl/solutions/dpo-as-a-service) ### [Externe DPO](https://www.pitch.law/nl/solutions/dpo-as-a-service) [Een externe functionaris voor gegevensbescherming die jouw AVG-naleving adviseert, opvolgt en vastlegt, met een register, kalender en portaal als hulpmiddel.](https://www.pitch.law/nl/solutions/dpo-as-a-service) - [Oplossingen](https://www.pitch.law/nl/solutions/ai-act-compliance) ### [AI Act-compliance](https://www.pitch.law/nl/solutions/ai-act-compliance) [We zoeken uit welke van jouw AI-systemen onder de Europese AI-verordening vallen, in welke rol, en wat je wanneer geregeld moet hebben.](https://www.pitch.law/nl/solutions/ai-act-compliance) ## Lees ook - [Academy](https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) ### [Het verwerkingsregister (RoPA)](https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) [Wat artikel 30 AVG je verplicht vast te leggen, wie een register moet bijhouden en hoe je het bruikbaar houdt.](https://www.pitch.law/nl/academy/gdpr-records-of-processing-activities-ropa-what-you-need-to-know) - [Academy](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) ### [AI Act en GDPR: waar de twee kaders elkaar raken](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) [Hoe de AI-verordening en de GDPR naast elkaar gelden voor hetzelfde AI-systeem: rollen, effectbeoordelingen, geautomatiseerde besluiten, transparantie, datakwaliteit en bijzondere categorieën.](https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap) - [Academy](https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr) ### [Je website doorlichten op GDPR](https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr) [Wat een technologie-audit van een website onderzoekt, waarom je privacyverklaring en de echte gegevensstromen uit elkaar groeien en welke wettelijke plichten worden getoetst.](https://www.pitch.law/nl/academy/website-technology-audits-and-gdpr) - [Academy](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) ### [AI in HR en recrutering](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) [Welke AI-tools in recrutering en personeelsbeheer verboden of hoog risico zijn onder de AI-verordening, wat werkgevers moeten doen en wat het nationale arbeidsrecht en de GDPR toevoegen.](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) - [Academy](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) ### [Risicoclassificatie onder de AI-verordening](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) [Zo check je of een AI-systeem verboden is, hoogrisico, onder transparantieverplichtingen valt of vrij is van specifieke verplichtingen.](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) - [Academy](https://www.pitch.law/nl/academy/building-an-ai-governance-framework) ### [Een AI-governancekader opbouwen](https://www.pitch.law/nl/academy/building-an-ai-governance-framework) [Waaruit een intern AI-governancekader bestaat, welke wettelijke plichten het moet dragen en hoe een middelgrote organisatie er een opbouwt dat bij haar gebruik van AI past.](https://www.pitch.law/nl/academy/building-an-ai-governance-framework) - [Academy](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) ### [Cookies en toestemming](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) [Wanneer je een cookiebanner nodig hebt, hoe geldige toestemming eruitziet en hoe de ePrivacyregels en de AVG samenwerken.](https://www.pitch.law/nl/academy/cookie-compliance-and-consent-management) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://www.pitch.law/nl/schedule)